Pass-the-Hash: Así te hackean SIN contraseña

Si alguna vez te has preguntado cómo los hackers pueden entrar en sistemas sin siquiera conocer una contraseña, aquí tienes la respuesta: Pass-the-Hash. En este artículo voy a explicarte, de forma clara y amena, cómo funciona esta técnica, por qué es tan peligrosa y qué puedes hacer para protegerte. Además, te compartiré algunos ejemplos prácticos y consejos basados en mi experiencia para que comprendas mejor cómo protegerte de este tipo de ataques.

Antes de entrar en materia, me gusta recordarte algo importante: proteger tu ordenador no solo implica tener un buen sistema operativo actualizado, sino también contar con un software confiable. Hay muchas opciones de antivirus gratuitos que pueden ayudarte a mejorar tu seguridad digital. Sin embargo, no te confíes, porque la seguridad no es algo que puedas dejar solo en manos de la tecnología.

Ahora, vamos al grano empezando por preguntarnos que es un Hash.

¿Qué es un Hash?

Un Hash actúa como una especie de huella digital de la contraseña. Es decir, aunque la contraseña original sea diferente, su Hash siempre tendrá una longitud fija y será único para esa entrada específica. Este proceso de "hashing" se utiliza en casi todos los sistemas modernos para proteger contraseñas y garantizar que nadie, ni siquiera los administradores, puedan verlas en texto claro. Además, el hashing tiene una propiedad crucial: es unidireccional. Esto significa que una vez que la contraseña ha sido convertida en un Hash, no hay manera directa de revertirlo a su forma original.

Por ejemplo, cuando introduces tu contraseña en Windows, esta no se almacena tal cual, porque sería un riesgo enorme. Lo que hace el sistema es calcular su Hash y guardarlo en bases de datos protegidas como SAM. Cuando te autenticas, Windows compara el Hash de tu contraseña con el almacenado, y si coinciden, te permite el acceso. Este sistema es bastante seguro... pero solo mientras los Hashes permanezcan fuera del alcance de los atacantes.

Sin embargo, los Hashes también tienen un punto débil: si alguien logra acceder a ellos, puede utilizarlos directamente para autenticarse sin necesidad de conocer la contraseña original. Este es precisamente el fundamento del Pass-the-Hash.

¿Qué es el Pass-the-Hash?

El Pass-the-Hash es una técnica de ataque que permite a un atacante acceder a sistemas, servicios o recursos sin necesidad de conocer la contraseña original. En lugar de introducir la contraseña, el hacker utiliza un valor llamado "Hash", que es el resultado de una función matemática que convierte una contraseña en un valor de longitud fija y único.

Un Hash no solo sirve como una representación cifrada de una contraseña, sino que también actúa como un mecanismo de verificación en los sistemas modernos. Es usado para garantizar que los datos no hayan sido manipulados durante la transmisión. Por ejemplo, los Hashes también se emplean en sistemas de autenticación multifactor y en la firma digital de documentos electrónicos, lo que resalta su importancia en el ecosistema de la seguridad informática.

Una vez, durante una prueba de laboratorio, comprobé que este método de autenticación puede volverse una debilidad si no se implementan medidas adicionales de seguridad. En aquella ocasión, trabajamos con Windows y vimos cómo obtener Hashes de manera sencilla, utilizando acceso al registro del sistema. Este descubrimiento me hizo reflexionar sobre cómo los descuidos, como dejar un ordenador desatendido, pueden convertirse en oportunidades para los atacantes.

Es relevante destacar que los Hashes tienen un uso extensivo más allá del almacenamiento de contraseñas. Se emplean también para generar claves únicas en bases de datos, indexar información o incluso como parte de algoritmos en tecnologías blockchain, donde su inmutabilidad y seguridad son pilares fundamentales.

Más allá de Windows, es importante señalar que todos los sistemas operativos modernos emplean alguna forma de hashing para almacenar contraseñas. Sin embargo, los algoritmos y las medidas de seguridad pueden variar, lo que influye directamente en cuán vulnerables pueden ser a técnicas como el Pass-the-Hash. 

Bases de datos protegidas, ¿qué es la base de datos SAM?

Las bases de datos protegidas, como la base de datos SAM (Security Account Manager) en sistemas Windows, desempeñan un papel crucial en la seguridad de las contraseñas y credenciales del usuario. Estas bases de datos son responsables de almacenar los Hashes de las contraseñas de manera cifrada, lo que garantiza que las contraseñas no se almacenen en texto claro, reduciendo así el riesgo de exposición directa.

La base SAM es un archivo del sistema operativo Windows que almacena las credenciales cifradas de todos los usuarios locales de un dispositivo. Este archivo se encuentra protegido por permisos de acceso estrictos y está vinculado al subsistema de seguridad de Windows. Solo los procesos con privilegios elevados, como el kernel del sistema operativo, tienen acceso directo a él.

Sin embargo, si un atacante obtiene privilegios de administrador o acceso físico al dispositivo, puede copiar este archivo y utilizar herramientas especializadas para extraer los Hashes. Una vez en su poder, estos Hashes pueden ser usados en ataques como el Pass-the-Hash.

¿Cómo se protegen estas bases de datos?

Windows emplea varias capas de protección para garantizar la seguridad de la base SAM:

1. Cifrado NTLM: Los Hashes almacenados en la SAM están cifrados utilizando el protocolo NTLM (Lan Manager). Aunque NTLM es más seguro que sus predecesores, sigue siendo vulnerable a ataques modernos como las tablas rainbow o los ataques de fuerza bruta.

2. Protección de acceso: La SAM está protegida por permisos de sistema que limitan qué usuarios o procesos pueden acceder a ella.

3. Virtual Secure Mode (VSM): En versiones modernas de Windows, como Windows 10 y 11, se utiliza VSM para aislar las credenciales en un entorno virtualizado, haciendo más difícil que un atacante pueda acceder a ellas incluso si compromete el sistema operativo principal.

¿Existen sistemas similares en otros entornos?

Sí, otros sistemas operativos también implementan bases de datos protegidas para gestionar credenciales:

- Linux: Utiliza archivos como /etc/shadow, que almacena las contraseñas cifradas y es accesible solo para el usuario root. Además, emplea algoritmos como SHA-512 o bcrypt para garantizar un alto nivel de seguridad.

- macOS: Utiliza el llavero de macOS (Keychain) para almacenar credenciales de manera cifrada y protegida.

SHA-512: Un estándar robusto para el hashing

SHA-512 es un algoritmo de hashing desarrollado por la Agencia de Seguridad Nacional de los Estados Unidos como parte de la familia de algoritmos SHA-2. Este algoritmo genera un Hash de 512 bits, lo que lo hace significativamente más seguro frente a ataques de fuerza bruta y colisiones en comparación con algoritmos más antiguos como MD5 o SHA-1.

Su alta seguridad lo hace ideal para proteger contraseñas y datos sensibles en sistemas modernos. Por ejemplo, muchas implementaciones de Linux utilizan SHA-512 en sus sistemas de autenticación para garantizar que las contraseñas de los usuarios estén protegidas frente a intentos de descifrado masivo. Además, debido a su alta longitud de salida, SHA-512 es especialmente efectivo en entornos donde la resistencia a ataques de preimagen (intentar encontrar una entrada que produzca un Hash específico) es crucial.

En mi experiencia, configurar sistemas para usar SHA-512 como estándar mejora considerablemente su seguridad, especialmente en redes corporativas donde proteger las credenciales de los usuarios es una prioridad. Sin embargo, es importante considerar que su uso intensivo de recursos puede ser una desventaja en dispositivos con hardware limitado.

bcrypt: Seguridad adaptativa frente a ataques

Bcrypt es otro algoritmo popular para hashing de contraseñas, diseñado específicamente para protegerlas frente a ataques de fuerza bruta. A diferencia de SHA-512, bcrypt incorpora un factor de coste que aumenta el tiempo necesario para calcular un Hash. Esto significa que, a medida que las capacidades de hardware mejoran, también se puede incrementar el factor de coste para mantener la seguridad.

Una característica destacable de bcrypt es su capacidad de generar "salts" únicos para cada contraseña. Un salt es un valor aleatorio que se añade a la contraseña antes de generar el Hash, lo que previene ataques que utilizan tablas de búsqueda precomputadas, como las tablas rainbow.

En varios proyectos, he implementado bcrypt para sistemas donde la seguridad de las contraseñas era crítica. Por ejemplo, en un entorno de desarrollo web, bcrypt ayudó a garantizar que incluso si una base de datos era comprometida, los atacantes necesitarían un esfuerzo monumental para descifrar cada contraseña individualmente.

Keychain

Keychain utiliza cifrado AES para proteger tus contraseñas y datos sensibles. Esto significa que solo tú y las aplicaciones autorizadas pueden acceder a esta información. Imagina un cofre del tesoro digital al que solo tú tienes la llave. Tus contraseñas, certificados y notas seguras están a salvo, listas para usarse cuando las necesites.

Una de las maravillas de Keychain es iCloud Keychain, que permite sincronizar tus contraseñas a través de todos tus dispositivos Apple. Esto significa que puedes acceder a tus contraseñas desde tu Mac, iPhone o iPad sin ningún problema. Además, gracias a la autenticación con tu contraseña de inicio de sesión, Touch ID o Face ID, siempre tendrás un acceso rápido y seguro.

Keychain no solo almacena tus contraseñas, sino que también las completa automáticamente en aplicaciones y sitios web compatibles. ¿Y si necesitas una nueva contraseña? Keychain puede generarla por ti, asegurando que sea única y segura. La organización y la seguridad nunca han sido tan cómodas.

Cómo Funciona Keychain

1. Creación y Almacenamiento: Cada vez que creas una cuenta en una aplicación o sitio web, Keychain te ofrece guardar la contraseña. Esta se almacena de forma cifrada y segura.

2. Acceso Seguro: Solo las aplicaciones y servicios autorizados pueden acceder a tus datos, protegiendo tu información sensible de posibles amenazas.

3. Interfaz Amigable: Con Keychain Access, una aplicación incluida en macOS, puedes ver y gestionar tus llaveros de forma sencilla y directa.

Beneficios de Usar Keychain

- Seguridad: Olvídate de recordar múltiples contraseñas. Keychain las guarda de forma segura y las completa por ti cuando las necesites.

- Conveniencia: Sincronización entre dispositivos y autocompletado de contraseñas para facilitar tu día a día.

- Integración Perfecta: Al estar integrado en el ecosistema Apple, el uso de Keychain es fluido y sin complicaciones.

Todos estos algoritmos, SHA-512, bcrypt y Keychain son excelentes herramientas para fortalecer la seguridad de los sistemas frente a técnicas como el Pass-the-Hash.

¿Puedo eliminar la base SAM para protegerme? 

No. La base SAM es fundamental para el funcionamiento del sistema operativo Windows. Eliminarla haría que el sistema se vuelva inutilizable. Este archivo contiene información vital para la autenticación de los usuarios, y sin él, Windows no podría verificar identidades ni conceder accesos. Si estás preocupado por su seguridad, en lugar de eliminarla, asegúrate de reforzar las medidas de protección como el cifrado avanzado y las políticas de acceso estrictas.

¿Qué ocurre si un atacante accede a mi SAM? 

Si un atacante obtiene acceso a tu SAM, podría extraer los Hashes de las contraseñas utilizando herramientas como Mimikatz. Con estos Hashes, sería capaz de autenticarse como usuarios legítimos en tu sistema sin necesidad de conocer las contraseñas originales. Además, en redes corporativas, podría realizar movimientos laterales para comprometer otros dispositivos conectados, aumentando el alcance del ataque. Incluso, si las contraseñas están protegidas con algoritmos fuertes como bcrypt, un atacante persistente podría usar recursos avanzados en la nube para intentar descifrarlas.

¿Cómo puedo proteger mi SAM? 

Hay varias estrategias clave que puedes implementar para proteger la base SAM:

- Mantén el sistema actualizado: Instala siempre los parches de seguridad proporcionados por Microsoft para cerrar vulnerabilidades conocidas.

- Utiliza contraseñas largas y complejas: Contraseñas de al menos 15 caracteres reducen significativamente la posibilidad de que sean descifradas incluso si se obtienen los Hashes.

 - Activa Virtual Secure Mode (VSM): Esta función disponible en versiones modernas de Windows aísla las credenciales en un entorno seguro que dificulta el acceso incluso si el sistema principal es comprometido.

- Restringe el acceso físico y remoto: Implementa políticas de bloqueo automático en los dispositivos y limita los permisos de acceso remoto solo a usuarios autorizados.

- Habilita el uso de herramientas avanzadas: Soluciones como Credential Guard de Microsoft pueden proteger credenciales almacenadas al ejecutar los procesos en entornos virtualizados y altamente seguros.

En resumen, las bases de datos como la SAM y sistemas similares son herramientas esenciales para proteger contraseñas en sistemas modernos. Sin embargo, requieren configuraciones adecuadas y medidas complementarias para prevenir su explotación por parte de atacantes.

¿Cómo se consiguen los Hashes?

En mi experiencia, obtener los Hashes no es complicado si se tiene acceso al ordenador objetivo. Por ejemplo, si dejas tu ordenador desatendido, alguien con conocimientos puede copiar los archivos donde se almacenan los Hashes, como las bases de datos SAM y SYSTEM en Windows. Esto lo puede hacer utilizando comandos administrativos y exportando estos archivos a un dispositivo externo. Estos archivos contienen información crucial para el sistema, como las credenciales cifradas de los usuarios, y una vez extraídos, pueden ser manipulados en otro entorno.

Recuerdo una situación en un entorno controlado donde mostramos cómo era posible extraer estos archivos en menos de un minuto. Solo bastaba con acceso físico al equipo y conocimientos básicos sobre el registro de Windows. Esto demuestra lo crítico que es evitar accesos no autorizados. Por ejemplo, en un escenario corporativo, un atacante podría acceder físicamente a una estación de trabajo desprotegida, extraer los Hashes y comprometer toda la red.

Pero no solo hablamos de acceso físico. También es posible conseguir estos Hashes de manera remota si el sistema tiene vulnerabilidades de red. Estas vulnerabilidades pueden incluir configuraciones incorrectas de permisos, servicios expuestos en Internet o el uso de contraseñas débiles para cuentas administrativas. Además, algunos atacantes utilizan herramientas especializadas para explorar redes y extraer credenciales sin necesidad de contacto directo con el dispositivo.

En otro laboratorio que realicé, probamos diferentes herramientas como Mimikatz, que permite extraer credenciales de la memoria de sistemas Windows. Este tipo de herramientas pueden ser devastadoras si los sistemas no están configurados adecuadamente. Por eso, siempre insisto en la importancia de mantener los sistemas actualizados, aplicar parches de seguridad y limitar el acceso no autorizado.

Por último, quiero destacar que muchas veces los ataques se facilitan por errores humanos. Por ejemplo, dejar contraseñas por defecto en equipos o compartir credenciales sin las debidas precauciones son factores que aumentan considerablemente el riesgo. Es esencial combinar medidas tecnológicas con una cultura de seguridad entre los usuarios.

¿Qué hacen los hackers con esos Hashes?

Una vez que tienen los Hashes, los hackers pueden realizar varias acciones peligrosas, aprovechando la información obtenida para maximizar su acceso y control sobre los sistemas:

1. Autenticarse sin contraseña: Usan el Hash en lugar de la contraseña para acceder a servicios como escritorio remoto. Esto les permite infiltrarse en sistemas sin necesidad de descifrar la contraseña original, lo que reduce el tiempo necesario para iniciar el ataque. Durante una simulación, probé esta técnica con un equipo de pruebas y logramos acceso completo al sistema sin necesidad de romper la contraseña, demostrando lo sencillo que puede ser este proceso si no se toman precauciones.

2. Descifrar la contraseña original: Aunque las funciones Hash son unidireccionales (no se pueden revertir), existen herramientas y servicios online que, con suficiente poder computacional, pueden descifrar estas contraseñas. Por ejemplo, servicios en la nube que emplean potentes GPUs permiten descifrar contraseñas complejas en tiempos sorprendentemente cortos. En una prueba educativa, utilicé uno de estos servicios para analizar una contraseña simple, y en solo unos minutos logré obtener el texto original. Esta experiencia subrayó la importancia de usar contraseñas largas y complejas para minimizar el riesgo.

3. Realizar movimientos laterales en la red: Una vez dentro, los atacantes pueden utilizar los Hashes obtenidos para moverse lateralmente entre otros dispositivos conectados en la misma red. Esto les permite comprometer más equipos y escalar privilegios hasta tener control total sobre la infraestructura. Por ejemplo, en redes corporativas, los atacantes podrían acceder a recursos sensibles como servidores de bases de datos o sistemas de gestión interna.

4. Crear usuarios maliciosos: Con acceso a los sistemas, los hackers también pueden crear usuarios adicionales con privilegios administrativos, asegurándose un acceso persistente incluso después de que el ataque inicial sea detectado y mitigado. Esto complica significativamente la recuperación del sistema.

En resumen, el potencial de daño es enorme, y cada uno de estos pasos resalta la importancia de implementar medidas de seguridad proactivas para proteger los Hashes y evitar accesos no autorizados.

¿Por qué es peligroso?

Lo más alarmante es que un atacante no solo puede acceder a tu cuenta, sino también a cualquier otra que haya iniciado sesión en ese equipo. Esto incluye cuentas con privilegios altos, como administradores de sistemas. Durante una simulación con un cliente, vimos cómo era posible comprometer un sistema entero porque un usuario no había cambiado su contraseña en meses.

Además, los atacantes pueden utilizar los Hashes obtenidos para realizar movimientos laterales en la red de una organización, comprometiendo más dispositivos. Es decir, un solo equipo vulnerable puede abrir la puerta a toda la infraestructura de una empresa.

Buenas prácticas para protegerte

Por suerte, hay muchas formas de mitigar los riesgos del Pass-the-Hash. Estas son algunas de las mejores prácticas que recomiendo:

1. Cambia tus contraseñas con frecuencia: Si cambias tu contraseña regularmente, reduces el tiempo que un atacante tiene para descifrar el Hash. En mis pruebas, observé que contraseñas antiguas suelen ser el objetivo principal de los atacantes.

2. Usa contraseñas largas: Contraseñas de 15 caracteres o más son mucho más difíciles de comprometer. De hecho, una vez utilicé una contraseña de 20 caracteres en un entorno de pruebas, y los recursos en la nube tardaron semanas en intentar descifrarla.

3. Bloquea la pantalla: En entornos de trabajo, configura el ordenador para que se bloquee automáticamente tras unos minutos de inactividad. Esta medida simple ha evitado numerosos incidentes en empresas donde he trabajado.

4. Deshabilita cuentas de administrador predeterminadas: Microsoft, por ejemplo, ya deshabilita la cuenta de "Administrador" para minimizar riesgos. Sin embargo, siempre es mejor asegurarse de que estas cuentas estén desactivadas manualmente.

5. Segmenta la red: Si trabajas en una organización, evita que los ordenadores puedan comunicarse directamente entre sí sin pasar por firewalls o políticas de seguridad. He visto cómo esta medida puede contener ataques antes de que se propaguen.

El Pass-the-Hash es una técnica poderosa y peligrosa, pero no invencible. Como siempre digo, la seguridad es una carrera entre atacantes y defensores. Si te tomas en serio proteger tus sistemas y aplicas estas buenas prácticas, puedes ponérselo muy difícil a los hackers.

¡La seguridad es responsabilidad de todos, y juntos podemos hacer de internet un lugar más seguro!